EC2 ویندوز: کلاینت VPN، سرور VPN یا دروازه AWS؟
یک نمونه EC2 ویندوز می‌تواند نرم‌افزار VPN اجرا کند، اما کلاینت، سرور خودمدیریتی و دروازه AWS نقش‌های متفاوتی با مالکان متفاوت هستند.
یک تیم برای برنامه‌ای که روی نمونه EC2 ویندوز اجرا می‌شود به اتصال VPN نیاز دارد، نرم‌افزار کلاینت سازگار را پیدا می‌کند، نصبش می‌کند و سپس می‌پرسد چرا بقیه VPC نمی‌توانند از آن استفاده کنند. نصب درست کار کرد؛ نقش هرگز تعیین نشده بود. نرم‌افزاری که داخل مهمان اجرا می‌شود می‌تواند کلاینتی باشد که به شبکه شخص دیگری می‌پیوندد، سروری که کلاینت‌های دیگر را می‌پذیرد، یا هیچ‌یک از محصولات VPN مدیریت‌شده AWS نباشد، و هر نقش کار متفاوتی برای شما باقی می‌گذارد.
نشانه معمولاً نقش اشتباه است
نشانه رایج تونلی است که کار می‌کند اما مشکل اشتباه را حل می‌کند. کلاینت داخل ماشین مجازی به آن ماشین مسیر خروج می‌دهد؛ به لپ‌تاپ، دفتر یا زیرشبکه دیگر شما راه ورود نمی‌دهد. سرور داخل ماشین مجازی به دیگران راه ورود می‌دهد، اما اکنون شنونده، احراز هویت و ارسال به بعد متعلق به شماست.
سرویس‌های مدیریت‌شده بهره‌برداری از سرویس را به AWS منتقل می‌کنند و طراحی را برای شما باقی می‌گذارند. Site-to-Site VPN شبکه‌ها را از طریق دروازه مشتری و دروازه AWS به هم متصل می‌کند و Client VPN به دستگاه‌های راه دور یک نقطه پایانی مدیریت‌شده می‌دهد. در هر دو حالت مسیرها، قواعد مجوزدهی و منبع هویت پیکربندی شما هستند و هیچ‌یک از این محصولات کلاینت همه‌منظوره داخل مهمان ویندوز نصب نمی‌کند.
چهار شکل ممکن است و جدول آن‌ها را بر اساس اینکه چه چیزی به چه چیزی وصل می‌شود و بار عملیاتی با کیست جدا می‌کند.
| Role | What connects | Who owns the VPN software |
|---|---|---|
| Client in the Windows VM | This VM dials out into someone else's network | You, plus the software vendor |
| Server in the Windows VM | Inbound clients and sites attach to this VM | You, end to end |
| AWS Site-to-Site VPN | Two networks meet through a customer gateway and an AWS gateway | AWS operates the tunnels; you own the peer and route design |
| AWS Client VPN | User devices attach to an endpoint AWS operates | AWS operates it; you own the access rules |
سطر را بخوانید نه نام محصول را: همان نمونه ویندوز بسته به نرم‌افزاری که در آن اجرا می‌شود می‌تواند در دو سطر متفاوت باشد.
کلاینت داخل ماشین مجازی: ماشین به یک شبکه می‌پیوندد
کلاینت خروجی باید پیش از نصب هر چیزی، نسخه ویندوز، معماری و الزامات درایور را بررسی کند. کلاینت مسیرها و DNS را روی نمونه تغییر می‌دهد که می‌تواند روی سرویس‌هایی که از قبل آنجا اجرا می‌شوند اثر بگذارد، از جمله مسیری که برای مدیریت از راه دور استفاده می‌کنید. نام آداپتور و متریک رابطی را که کلاینت تنظیم می‌کند ثبت کنید، زیرا رابط جدید ممکن است بر رابط موجود اولویت پیدا کند. اگر نمونه به‌جای SSH یا RDP از طریق مدیر نشست مدیریت می‌شود، تأیید کنید که آن مسیر پس از اتصال کلاینت هنوز کار می‌کند.
پیش از فعال کردن کلاینت تصمیم بگیرید چه ترافیکی را حمل کند. تونل کامل می‌تواند نشست مدیریت را بگیرد و شما را بیرون نگه دارد، و تونل تقسیم‌شده می‌تواند نمونه را به شبکه خصوصی برساند در حالی که ترافیک دیگرش از خروجی دیگری می‌رود. با وجود مسیر مدیریت دوم آزمایش کنید و مسیرهایی را که کلاینت نصب می‌کند ثبت کنید تا تغییر بعدی قابل توضیح باشد.
سرور داخل ماشین مجازی: کلاینت‌های دیگر به آن می‌پیوندند
برای سرور خودمدیریتی، شنونده، گواهی یا مواد کلید، پایگاه داده کاربران و قواعد ارسال به بعد متعلق به شماست. اگر سرور ترافیک کلاینت‌های دیگر را ارسال می‌کند، نمونه به یک مسیریاب تبدیل می‌شود و این مستلزم ارسال در سطح مهمان به‌علاوه تغییر مسیرها و گروه‌های امنیتی در سطح AWS است.
شنونده را از داخل مهمان و سپس از زیرشبکه دیگری بررسی کنید، بعد میزبانی را بررسی کنید که نمونه برایش ارسال می‌کند. سرویس محلی سالم هیچ چیزی درباره مسیر ارسالی اثبات نمی‌کند، پس هر دو نتیجه را در یادداشت تغییر ثبت کنید.
دروازه‌های مدیریت‌شده سرویس را نگه می‌دارند، نه طراحی دسترسی شما را
AWS Site-to-Site VPN نقش‌های تونل دروازه مشتری و دروازه AWS را مستند می‌کند و خرید آن اتصال جایگزین هر طراحی دسترسی راه دور نمی‌شود. Client VPN یک نقطه پایانی مدیریت‌شده با پرسوناهای کلاینت را مستند می‌کند، در حالی که قواعد مجوزدهی و مسیرهای مقصد همچنان مال شماست. AWS نقطه پایانی و گواهی‌هایش را در حال اجرا نگه می‌دارد؛ اینکه چه کسی به کدام برنامه دسترسی دارد هنوز قاعده مجوزدهی است که شما می‌نویسید و نگه می‌دارید.
بین محصولات روی پنج محور انتخاب کنید: هر یک چه نقشی بازی می‌کند، چه پروتکل‌هایی می‌پذیرد، چه منبع هویتی انتظار دارد، ترافیک چگونه ارسال می‌شود و دسترس‌پذیری چگونه ارائه می‌شود. هر رقم توان عملیاتی واحدی را که در یک رشته انجمن نقل می‌شود نادیده بگیرید، زیرا ظرفیت منتشرشده با سرویس تغییر می‌کند. و فرض نکنید که یک جفت تونل مدیریت‌شده رفتار یک کلاینت مهمان دلخواه را تغییر می‌دهد.
نقش را پیش از محصول انتخاب کنید
یک جمله بنویسید که جهت را نام ببرد: این ماشین به یک شبکه می‌پیوندد، این ماشین کلاینت‌ها را می‌پذیرد، یا یک دروازه AWS شبکه‌های تعریف‌شده را به هم متصل می‌کند.
آن جمله فهرست کوتاه محصولات، مالک نرم‌افزار و حالت‌های خرابی‌ای را که اشکال‌زدایی می‌کنید تعیین می‌کند. اگر نیاز این است که کاربران راه دور به یک برنامه برسند، کلاینتی که در ماشین مجازی برنامه نصب شده شکل اشتباهی است. اگر نیاز این است که یک ماشین به شبکه شریک برسد، یک دروازه سایت-به-سایت مدیریت‌شده ماشین‌آلات بیشتری از آنچه وظیفه نیاز دارد است. هر دو پاسخ مشروع‌اند؛ فقط یکی با جمله‌ای که نوشتید مطابقت دارد.